Kan man ha flere behandlingsgrunnlag?

Kan man ha flere behandlingsgrunnlag: Regler for GDPR

Å forstå kan man ha flere behandlingsgrunnlag er avgjørende for virksomheter som håndterer personopplysninger. Korrekt valg av behandlingsgrunnlag sikrer etterlevelse av regelverket og beskytter personvernet. Ved å sette seg inn i disse kravene unngår man risiko knyttet til ulovlig behandling og styrker tilliten hos de registrerte personene gjennom trygg databehandling.

Kan man ha flere behandlingsgrunnlag for samme behandling?

Ja, en virksomhet kan lovlig benytte flere behandlingsgrunnlag for én og samme behandling av personopplysninger. Dette er en situasjon som forekommer oftere enn man kanskje tror, for eksempel når dataene kreves både for å oppfylle en kontrakt og samtidig for å overholde lovpålagte rapporteringskrav.

Det er viktig å forstå at dette ikke handler om å finne unnskyldninger, men om å sikre samsvar på tvers av ulike rettslige forpliktelser. Hvis vilkårene i flere ulike grunnlag er oppfylt, står virksomheten fritt til å velge eller kombinere disse. Det er ikke slik at ett grunnlag nødvendigvis har forrang foran et annet, så lenge begge er saklige og lovlige for det spesifikke formålet.

Når oppstår behovet for flere grunnlag?

Ofte vil en behandling starte under ett grunnlag, for så å overlappe med et annet. Tenk på en pasientjournal: Her er behandlingen primært basert på en rettslig forpliktelse om å dokumentere helsehjelp, men når den samme informasjonen brukes til fakturering, kan grunnlaget samtidig være knyttet til oppfyllelse av en avtale.

Det er essensielt å ha identifisert disse grunnlagene før innhentingen i det hele tatt starter. Virksomheter som prøver å lappe sammen et grunnlag i etterkant, risikerer ofte å havne i problemer. Dokumentasjonsplikten er ufravikelig – alt må være tydelig opplyst om i personvernerklæringen fra første dag.

Hva med samtykke som et av grunnlagene?

Mange tror feilaktig at de kan bytte behandlingsgrunnlag hvis et samtykke trekkes tilbake. Hvis en virksomhet baserer seg på samtykke, og brukeren sier stopp, kan de som hovedregel ikke bare bytte til et annet grunnlag som plan B for å fortsette samme aktivitet. Dette er en vanlig kilde til frustrasjon.

I min erfaring med personvernforvaltning er dette punktet hvor flest går i baret. Man må være ekstremt nøye med å vurdere om samtykke i det hele tatt er riktig vei å gå hvis andre grunnlag kan være aktuelle.

Praktisk anvendelse og dokumentasjon

For å lykkes med flere behandlingsgrunnlag for samme behandling, må virksomheter kvitte seg med gjettingen. En systematisk kartlegging, ofte omtalt som en protokoll over behandlingsaktiviteter, er helt nødvendig for å dokumentere at de ulike grunnlagene er gyldige.

Mange virksomheter i dag ser en økning i etterlevelseskostnader når de må dokumentere komplekse behandlingsløp korrekt.^[1] Dette er imidlertid en nødvendig investering. Å ikke kunne redegjøre for hvorfor man har valgt en kombinasjon, skaper usikkerhet som i verste fall kan føre til sanksjoner.

Valg av behandlingsgrunnlag: En forenklet oversikt

Avtale

Begrenset til det som er strengt nødvendig for kontrakten.

Nødvendig for å levere en tjeneste eller et produkt.

Rettslig forpliktelse

Ingen, definert av loven.

Pålagt av lovverk, f.eks. regnskaps- eller helselovgivning.

Samtykke

Høy, men kan trekkes tilbake når som helst.

Frivillig bruk, markedsføring eller ekstra funksjoner.

Håndtering av pasientdata ved en klinikk i Oslo

En privat helseklinikk i Oslo hadde lenge utfordringer med å forklare pasientene hvordan de både lagret journaler og sendte fakturaer digitalt. De prøvde først å hente inn ett samtykke for alt.

Det skapte friksjon; pasienter ble forvirret over hva de faktisk sa ja til, og klinikkens administrative ansatte slet med å håndtere mange tilbakekallinger av samtykke.

Vendepunktet kom da de innså at journalføringen var en rettslig forpliktelse, mens faktureringen var en avtaleoppfølging. De skilte disse to prosessene juridisk i personvernerklæringen sin.

Etter seks måneder med den nye praksisen, rapporterte de en reduksjon i antall uklare henvendelser fra pasienter.^[2] De hadde skapt en forutsigbar struktur som fungerte for begge parter.

Dette innholdet er kun til opplysningsformål og erstatter ikke juridisk rådgivning fra profesjonelle. Personvernlovgivning er kompleks og kan variere. Rådfør deg alltid med en juridisk rådgiver eller personvernombud for din virksomhets spesifikke situasjon.